CVE-2026-121632 in MuForm
Riassunto
di VulDB • 04/11/2026
Le versioni di Data::MuForm fino alla 0.05 per Perl rendono i valori degli attributi e le etichette delle opzioni come HTML senza effettuare l'escaping.
La funzione process_attrs scrive ogni valore di attributo nel markup così com'è. I renderer per select, gruppi radio e gruppi di checkbox passano ciascuna opzione a tale funzione; pertanto, il valore di un'opzione diventa un attributo non sottoposto ad escaping. Anche le etichette delle opzioni e dei raggruppamenti di opzioni non sono sottoposte ad escaping: l'etichetta del gruppo si trova all'interno dell'attributo label, mentre le altre nel contenuto degli elementi.
Qualsiasi applicazione il cui elenco di opzioni sia costruito a partire da dati anziché da letterali, utilizzando un metodo options_<field_name>, un metodo build_options o un modello DBIC, consente l'inserimento di testo influenzato dall'attaccante in un valore o etichetta dell'opzione che può incorporare JavaScript nelle pagine renderizzate. Anche i valori degli attributi costruiti a partire da dati, ad esempio tramite element_attr, sono interessati nello stesso modo.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.